Peru endurece regras para BaaS

O novo Regulamento BaaS da SBS e o cronograma do BCRP para registrar e autorizar provedores de serviços de pagamento digital estão empurrando o ecossistema fintech peruano para uma revisão simultânea de compliance, arquitetura tecnológica e cibersegurança.

Segundo uma análise da Traxxia sobre o mercado local, o arcabouço regulatório de 2026 também se articula com outras frentes que chegam no mesmo período, como pagamentos digitais do BCRP, open finance e sandbox. Essa convergência antecipa uma supervisão mais intensa sobre modelos de open banking e serviços embutidos, com maior pressão sobre a proteção ao consumidor e sobre os controles aplicados a APIs e terceiros.

Risco, dados e terceiros

A Traxxia aponta que a exigência de que o banco provedor de BaaS mantenha responsabilidade integral e estenda seus marcos de risco e compliance a todo o perímetro do modelo já está mudando a forma como as parcerias são negociadas. Na prática, isso se traduz em due diligence mais profunda sobre as fintechs recebedoras, com avaliações específicas de segurança da informação, modelos de scoring e uso de dados de open finance antes da assinatura de acordos BaaS.

Esse reforço de controles também aparece na estratégia de várias fintechs peruanas, que, segundo fontes do setor citadas pela Traxxia, estão priorizando alianças com bancos já adaptados ao novo regulamento. A alternativa de operar apenas com registro ou autorização direta junto ao BCRP para pagamentos digitais perde apelo diante do peso dos requisitos de gestão integral de riscos, continuidade operacional e proteção ao usuário impostos pela regulação.

Gargalo regulatório em 2026

A mesma análise alerta que a combinação do cronograma do BCRP com o novo Regulamento BaaS da SBS está criando um gargalo de compliance no segundo semestre de 2026. Bancos e fintechs precisam avançar em paralelo com projetos de adequação regulatória, reforço de capital, implementação de políticas de risco e atualização de marcos de cibersegurança.

O resultado é um mercado em que a conversa deixou de girar apenas em torno do lançamento de novos produtos. Daqui em diante, a capacidade de sustentar modelos de open banking e serviços embutidos vai depender de como cada ator organiza sua governança de terceiros, suas APIs e seus processos de controle para responder a uma supervisão mais exigente.